有效的安卓應(yīng)用軟件可信性評估方法

晏 堯，王 丹，朱 璽，陳 濤，周婧婧，景小榮+

(1.國網(wǎng)重慶市電力公司 電力科學(xué)研究院，重慶 401123；2.重慶郵電大學(xué) 通信與信息工程學(xué)院， 重慶 400065；3.國網(wǎng)重慶市電力公司，重慶 400010)

0 引 言

移動(dòng)互聯(lián)網(wǎng)的飛速發(fā)展和互聯(lián)網(wǎng)業(yè)務(wù)的日益繁榮，智能終端應(yīng)用軟件數(shù)量急劇上升，而安卓作為主流平臺(tái)供應(yīng)商，為移動(dòng)終端用戶提供了品類齊全且功能豐富的應(yīng)用軟件；然而由于軟件開發(fā)和運(yùn)行環(huán)境的開放性，導(dǎo)致移動(dòng)終端正面臨著嚴(yán)峻的信息安全挑戰(zhàn)。因此，非常有必要對安卓智能終端應(yīng)用軟件的可信性展開深入研究。

軟件可信性(software trustworthiness，ST)作為度量軟件質(zhì)量的依據(jù)，國際權(quán)威組織可信計(jì)算組織(trusted computing group，TCG)[1]將軟件可信性定義為軟件行為和結(jié)果滿足用戶預(yù)期的能力[2]。為了確保安卓應(yīng)用軟件的可信性，國內(nèi)外許多學(xué)者對軟件可信性評估技術(shù)展開了積極的研究。

為了評估軟件可信性，文獻(xiàn)[3]利用分布式軟件的交互關(guān)聯(lián)規(guī)則，采用伴隨式分布式監(jiān)控機(jī)制，并織入3類檢查點(diǎn)來實(shí)現(xiàn)對軟件的可行性評估。作者在文獻(xiàn)[4]中給出一種基于檢查點(diǎn)場景信息的軟件可信性預(yù)測模型，該模型通過記錄軟件行為軌跡的場景信息，利用徑向基函數(shù)(radial basic function，RBF)神經(jīng)網(wǎng)絡(luò)分類器根據(jù)當(dāng)前檢查點(diǎn)的狀態(tài)來判斷軟件的可信度。利用不同系統(tǒng)調(diào)用所屬安全域之間的無干擾關(guān)系，文獻(xiàn)[5]則提出一種軟件實(shí)時(shí)可信度量方法。針對開源軟件，Okamura H等結(jié)合基于經(jīng)典非齊次泊松過程的軟件可靠性增長模型(software reliability growth model，SRGM)和廣義線性模型，提出了統(tǒng)一的軟件可信性評估框架[6]。文獻(xiàn)[7]提出一種基于用戶反饋信息的軟件組件可信性度量方法。楊曦等提出一種基于社會(huì)學(xué)信任理論的軟件可信性概念模型，通過實(shí)驗(yàn)論證了該模型的有效性[8]；而Tao Hongwei等則采用數(shù)學(xué)規(guī)劃，將軟件可信性程度依據(jù)一定的度量準(zhǔn)則分配給軟件的各個(gè)子屬性。文獻(xiàn)[10]利用軟件外在特征參數(shù)建立了一種基于隱馬爾可夫模型的軟件狀態(tài)評估方法；文獻(xiàn)[11]提出一種基于軟件行為軌跡矩陣的可信性評估方法。盡管上述方法或者軟件可信性評估模型對軟件可信性策略進(jìn)行了一定深入的研究，但其通常使用單一屬性對軟件可信性進(jìn)行評估，而實(shí)際上，每一軟件均包含多個(gè)屬性；此外，有些評估策略過多地?fù)诫s了主管人為因素。更為重要的，上述軟件可信性評估研究大多針對嵌入式軟件或PC端軟件，無法直接遷移到安卓平臺(tái)。

在對軟件可信性評估研究現(xiàn)狀分析的基礎(chǔ)上，基于文獻(xiàn)[12]，該文利用支持向量機(jī)(support vector machine，SVM)，并結(jié)合證據(jù)理論，提出一種面向安卓應(yīng)用軟件的可信性評估方法，其創(chuàng)新性包括：

(1)利用SVM分類算法和可信性理論中多屬性思想，使所提方法不再依賴于專家人為主觀因素；

(2)可信性評估階段，基于改進(jìn)證據(jù)理論，可對應(yīng)用軟件多屬性證據(jù)的預(yù)測概率賦值進(jìn)行合成，從而提高可信性評估的正確率；

(3)引入熵權(quán)法確定各屬性的權(quán)重，使得對軟件的評估更為全面，同時(shí)，在一定程度上減小了證據(jù)合成過程中高沖突問題對軟件可信性評估的影響。

1 軟件可信性的評估模型設(shè)計(jì)

1.1 評估模型

為了對安卓軟件可信性進(jìn)行分析和研究，設(shè)計(jì)如圖1所示評估模型。該模型將對安卓軟件可信性評估，分為訓(xùn)練和可信性評估兩個(gè)階段。訓(xùn)練階段主要完成軟件度量，以確定軟件的4種本質(zhì)屬性證據(jù)，并將其用于SVM的訓(xùn)練數(shù)據(jù)集；可信性評估階段首先根據(jù)訓(xùn)練好的分類模型確定與各屬性證據(jù)對應(yīng)的分類概率賦值函數(shù)，進(jìn)而基于熵權(quán)法確定自適應(yīng)權(quán)重，接著利用改進(jìn)D-S證據(jù)理論實(shí)現(xiàn)各屬性證據(jù)合成，最后基于此合成結(jié)果，完成對軟件的可信性評估。

圖1 軟件可信性評估模型

1.2 軟件可信性度量

軟件度量涉及眾多因素，為此，文中利用智能終端軟件的基本特征來對軟件的可信性屬性進(jìn)行度量。在眾多基本特征中，運(yùn)行行為和性能測試又是其中最重要的。于是，文中采用不同的方法對各應(yīng)用軟件進(jìn)行軟件度量，以得到軟件的運(yùn)行行為和性能測試的4種本質(zhì)屬性證據(jù)，將其作為各SVM的訓(xùn)練數(shù)據(jù)集。

1.2.1 軟件行為屬性

軟件的不同運(yùn)行行為特征屬性代表軟件的不同意圖，而某些運(yùn)行行為有可能導(dǎo)致惡意結(jié)果。這里采用DroidBox沙盒[13]來模擬安卓軟件運(yùn)行環(huán)境，以Json格式記錄應(yīng)用軟件運(yùn)行過程中的行為觸發(fā)日志，然而通過解析其行為觸發(fā)日志記錄其行為屬性，存入行為特征數(shù)據(jù)庫，具體流程如圖2上半部所示。下面給出軟件的部分運(yùn)行行為。

文件操作：終端軟件如果頻繁掃描和搜索本地用戶文件，并新建非法外部文件，極易導(dǎo)致敏感信息被盜用等不良后果。

隱私泄露：某些應(yīng)用軟件會(huì)竊取用戶隱私信息，造成用戶隱私泄露，不法分子利用泄露的個(gè)人信息進(jìn)行欺詐與騷擾等。

發(fā)送/接收短信：不可信軟件運(yùn)行時(shí)，很可能確認(rèn)未經(jīng)用戶同意而訂閱某些付費(fèi)服務(wù)，或被動(dòng)接收非法短信的行為，直接給用戶帶來經(jīng)濟(jì)損失。

動(dòng)態(tài)加載：不可信安卓軟件可通過動(dòng)態(tài)加載包含有惡意行為的dex文件并解密，對用戶安全造成威脅。

圖2 軟件4種屬性度量流程

1.2.2 性能測試屬性

1.3 機(jī)器學(xué)習(xí)訓(xùn)練

既然軟件的運(yùn)行行為、CPU變化、內(nèi)存變化、網(wǎng)絡(luò)流量變化等特征屬性可用于對安卓軟件的可信性進(jìn)行評估。按照圖1的評估模型，必須用不可信和可信軟件樣本集對各SVM進(jìn)行訓(xùn)練，來確定有效的分類模型。為了適應(yīng)有監(jiān)督機(jī)器學(xué)習(xí)算法SVM的訓(xùn)練，必須對上述4種屬性證據(jù)進(jìn)行適當(dāng)處理。

運(yùn)行行為屬性數(shù)據(jù)，其處理流程按照如圖3(a)進(jìn)行。具體來說，先利用DroidBox將樣本集中所有軟件行為保存到行為特征數(shù)據(jù)庫，并將其與特征數(shù)據(jù)庫匹配。對于各軟件，如其軟件行為具備對應(yīng)特征，則標(biāo)記為1，否則標(biāo)記為0，即實(shí)現(xiàn)軟件行為特征映射。對于內(nèi)存變化、CPU變化和網(wǎng)絡(luò)流量變化等性能測試屬性，則通過標(biāo)準(zhǔn)化處理，使與之對應(yīng)的信息矩陣滿足正態(tài)分布，從而用于對各SVM實(shí)現(xiàn)訓(xùn)練，具體如圖3(b)所示。利用訓(xùn)練好的分類模型，就可實(shí)現(xiàn)對待評估軟件進(jìn)行可信性評估，即將其分為不可信(即軟件存在異常高風(fēng)險(xiǎn))和可信(即軟件隱含的風(fēng)險(xiǎn)非常小)兩種狀態(tài)。

圖3 數(shù)據(jù)處理流程

然而，由于文中涉及4種具體屬性用于軟件可信性評估，如果評估時(shí)利用經(jīng)典的D-S證據(jù)合成理論對4種屬性證據(jù)進(jìn)行處理，則非常有可能導(dǎo)致沖突證據(jù)組合問題。

2 利用改進(jìn)D-S證據(jù)理論對安卓軟件可信性進(jìn)行評估

本節(jié)將對D-S證據(jù)理論進(jìn)行改進(jìn)，進(jìn)而以此為基礎(chǔ)，提出具體的軟件可信性評估流程。

2.1 改進(jìn)的D-S證據(jù)理論合成

2.1.1 D-S證據(jù)理論

D-S證據(jù)理論[14]由Dempster提出，后經(jīng)Shafer改進(jìn)。令Θ={θ1,θ2,…,θn} 表示識(shí)別框架，則對于Θ的子集A， 函數(shù)m為集合2Θ到[0,1]的一個(gè)映射。如果m滿足下列條件

(1)

則將m定義為Θ的基本概率賦值(basic probability assignment，BPA)函數(shù)。這里m(A) 表示對命題A的支持度。假設(shè)m1、m2表示兩個(gè)證據(jù)的BPA且相互獨(dú)立，m1(A1),m1(A2),…,m1(Ai) 和m2(B1),m2(B2),…,m2(Bj) 分別為各自基本概率賦值，則根據(jù)D-S證據(jù)理論，其合成結(jié)果為

(2)

其中，系數(shù)

(3)

代表證據(jù)m1和m2的沖突程度。k越趨近1，兩個(gè)證據(jù)越接近完全沖突，此時(shí)經(jīng)典的D-S合成規(guī)則將不再適用。

為此，文獻(xiàn)[15]和文獻(xiàn)[16]對證據(jù)沖突問題分別進(jìn)行有意義的探索，但其效果不甚明顯。下面我們將結(jié)合熵權(quán)法，對D-S證據(jù)理論進(jìn)行改進(jìn)，從而降低證據(jù)合成過程中高沖突問題對軟件可信性評估的影響。

2.1.2 基于熵權(quán)法的自適應(yīng)權(quán)重調(diào)整

在多屬性證據(jù)合成中，為防止某一屬性證據(jù)占主導(dǎo)和證據(jù)間沖突問題，可通過調(diào)整各屬性證據(jù)的權(quán)重來實(shí)現(xiàn)。在眾多權(quán)重調(diào)整策略中，熵權(quán)法是一種非常有效的方法。為此，我們提出結(jié)合熵權(quán)法來調(diào)整各屬性證據(jù)的權(quán)重，以便解決D-S證據(jù)理論合成中存在的缺陷。具體步驟如下：

令與n個(gè)證據(jù)對應(yīng)的BPA函數(shù)為m1,m2,…,mn， 其對應(yīng)的權(quán)重為w1,w2,…,wn：

步驟1 計(jì)算mi與mj的沖突系數(shù)

(4)

其中，i≠j且i,j=1,2,…,n。

(5)

其中

(6)

代表Pignistic概率函數(shù)。

步驟3 確定與第i個(gè)證據(jù)對應(yīng)的互沖突矢量ki=(ki1,ki2,…kin)， 按式(7)對其作歸一化處理，生成互沖突系數(shù)矩陣D， 見式(8)

(7)

(8)

步驟4 按照式(9)，計(jì)算D中各行矢量的信息熵

(9)

步驟5 計(jì)算各證據(jù)的不確定度

(10)

其中，Hmax=log2(n)。

步驟6 計(jì)算各證據(jù)權(quán)重

(11)

根據(jù)上述步驟確定的權(quán)重，對各屬性證據(jù)的BPA函數(shù)進(jìn)行修正，即

(12)

其中，m′i(A) 表示對mi證據(jù)修正后的BPA函數(shù)；m′i(Θ) 為不確定度。

在證據(jù)屬性合成中，上述基于熵權(quán)法的自適應(yīng)權(quán)重調(diào)整過程可根據(jù)沖突情況，自適應(yīng)賦予4種證據(jù)屬性權(quán)重。而對于D-S證據(jù)理論，當(dāng)證據(jù)屬性接近完全相似時(shí)，kij接近于0.5。為此，在步驟2中，當(dāng)kij≥0.4時(shí)，D-S證據(jù)理論沖突系數(shù)計(jì)算方法被Pignistic概率距離計(jì)算所代替。表1中的算例可說明該問題。

表1 算例

2.2 基于SVM和改進(jìn)證據(jù)理論的安卓應(yīng)用軟件可信性評估

在上述分析的基礎(chǔ)上，表2給出基于SVM和改進(jìn)證據(jù)理論的應(yīng)用軟件評估方法的具體流程。

3 實(shí)驗(yàn)及性能分析

3.1 實(shí)驗(yàn)條件

Inter(R) Core(TM) i5-7400 CPU@3.00 GHz，內(nèi)存32 GB臺(tái)式機(jī)，搭載Windows10操作系統(tǒng)，搭載VMware虛擬機(jī)及Ubuntu-16.04.3，作為仿真平臺(tái)；利用Python3.6語言來實(shí)現(xiàn)編程。

表2 可信性評估方法的具體流程

樣本集包括500個(gè)可信軟件數(shù)據(jù)集，均來源于小米和Google應(yīng)用平臺(tái)；300個(gè)不可信軟件數(shù)據(jù)集則由專業(yè)組織收集，且通過在線檢測和VirusTotal[18]評估。采用Python腳本和MonkeyRunner工具來模擬用戶點(diǎn)擊操作。此外，為了避免軟件啟動(dòng)時(shí)對各參數(shù)的影響，實(shí)驗(yàn)中僅選擇中間段數(shù)據(jù)；設(shè)置各測試應(yīng)用軟件在DroidBox中運(yùn)行時(shí)長均為3 min。

需要說明的是，本文提出的方法及測試過程主要針對安卓應(yīng)用軟件，主要表現(xiàn)為其軟件狀態(tài)參數(shù)及特性，對于其它系統(tǒng)軟件還需做進(jìn)一步分析與研究。

3.2 軟件可信性評估

圖4給出分別采用單一屬性，經(jīng)典D-S證據(jù)合成和改進(jìn)D-S證據(jù)合成進(jìn)行應(yīng)用軟件可信性評估的結(jié)果。同時(shí)，表3給出了與兩種測量對應(yīng)的部分評估結(jié)果的可信和不可信概率賦值對比，包括各屬性證據(jù)對應(yīng)的概率賦值與D-S證據(jù)理論合成。

圖4 采用不同屬性進(jìn)行可信性評估結(jié)果對比

表3 軟件各屬性證據(jù)BPA對比

由圖4和表3，可知：

(1)相比于使用單一屬性，本文采用多屬性度量進(jìn)行軟件可信性評估的效果更加全面和客觀；同時(shí)，表3中對各屬性的概率賦值對比進(jìn)一步說明采用改進(jìn)D-S證據(jù)合成的有效性。

(2)相比傳統(tǒng)D-S證據(jù)合成，基于熵權(quán)的改進(jìn)證據(jù)合成方法可明顯地改善軟件可信性評估的性能；同時(shí)，從側(cè)面也說明，在多證據(jù)屬性合成中，設(shè)置自適應(yīng)權(quán)重，在一定程度上可規(guī)避高沖突證據(jù)合成帶來的不利影響。

圖5展示了檢測準(zhǔn)確率隨證據(jù)屬性數(shù)量變化的情況。在圖5中，最低準(zhǔn)確率和最高準(zhǔn)確率分別表示不同數(shù)量的屬性證據(jù)的對應(yīng)組合結(jié)果。從圖中可知，軟件可信性評估的準(zhǔn)確性隨著軟件屬性證據(jù)數(shù)量的增加而提高；完全利用4個(gè)屬性證據(jù)時(shí)，評估效果最佳。

圖5 準(zhǔn)確率隨屬性合成個(gè)數(shù)的變化

3.3 性能對比

3.3.1 定量對比

基于某一典型可信應(yīng)用軟件，對改進(jìn)D-S證據(jù)合成理論的有效性進(jìn)行定量分析，與該應(yīng)用對應(yīng)的4個(gè)屬性證據(jù)的BPA(m1,m2,m3,m4) 見表4。

表4 某典型可信軟件各屬性證據(jù)BPA

根據(jù)表4，屬性證據(jù)3顯然存在高沖突。針對該典型可信應(yīng)用軟件，在不同屬性證據(jù)組合(m1和m2、m1,m2和m3、m1,m2,m3,m4) 下，圖6給出Yager組合規(guī)則[16]、Murphy組合規(guī)則[17]、經(jīng)典D-S證據(jù)合成及改進(jìn)D-S證據(jù)合成方法的可信識(shí)別結(jié)果。

由于屬性證據(jù)m1和m2之間沖突較小，因此這4種證據(jù)合成規(guī)則具有相同的評估結(jié)果。對屬性證據(jù)組合m1,m2和m3， 其中屬性證據(jù)m3為高沖突證據(jù)，Murphy組合規(guī)則對沖突屬性采用平均化處理，Yager組合規(guī)則將沖突屬性賦予一不確定項(xiàng)，經(jīng)典D-S方法直接進(jìn)行合成，而本文方法則依據(jù)互沖突程度，給予屬性證據(jù)m1,m2,m3不同的權(quán)重因子，使高沖突屬性證據(jù)m3的影響得以降低，從而提高了評估的準(zhǔn)確度。對于m1,m2,m3,m4組合，隨屬性證據(jù)m4的參與，高沖突證據(jù)m3的權(quán)重將更低，使其對評估結(jié)果的影響變得更小，因此，對于m1,m2,m3,m4組合，其可信度識(shí)別概率改善明顯，但本文所提方法的可信度識(shí)別率最高。

圖6 不同組合規(guī)則的對比

3.3.2 定性對比

在現(xiàn)有文獻(xiàn)中，面向安卓應(yīng)用軟件的研究相對較少，因此，該小節(jié)結(jié)合PC軟件部分相關(guān)文獻(xiàn)，從軟件屬性、評估方法、數(shù)據(jù)處理形式及適應(yīng)場合等4個(gè)方面，進(jìn)行定性對比，結(jié)果見表5。

表5 軟件可信性定性對比

由表5知，對于軟件屬性，文獻(xiàn)[11]利用場景信息的時(shí)間點(diǎn)、CPU、內(nèi)存和其各自的變化率，文獻(xiàn)[19]則基于移植性、維護(hù)性和易操作性等方面的度量，總之，其僅基于軟件的直觀性能；而本文方法除此之外，還考慮了應(yīng)用軟件潛在行為等細(xì)粒度屬性，因而對軟件可信性的檢測則更為細(xì)致。

由表5知，對于數(shù)據(jù)處理，文獻(xiàn)[11]默認(rèn)各屬性權(quán)重相同；文獻(xiàn)[19]則融合信息熵和模糊層次法賦予各屬性權(quán)重，再與設(shè)定閾值相比較來決定軟件可信性。也就說，文獻(xiàn)[11]和文獻(xiàn)[19]中方法依賴主管因素，而本方法卻很好地規(guī)避了此缺點(diǎn)。

由表5知，對于可信性評估，文獻(xiàn)[11]和文獻(xiàn)[19]均采用與固定閾值對比，即由單個(gè)結(jié)果決定，因而，無法全面地反映應(yīng)用軟件的可信性。而文中方法則基于多屬性訓(xùn)練，進(jìn)而結(jié)合多屬性融合與決策，能夠全面且客觀評估軟件的可信性。

還有，對于適應(yīng)場合，3種方法均需運(yùn)行環(huán)境，然而本文方法融入了細(xì)粒度的軟件運(yùn)行行為分析，評估的范圍則更全面。

4 結(jié)束語

本文結(jié)合SVM和改進(jìn)證據(jù)理論，針對安卓軟件平臺(tái)，提出一種軟件可信性評估方法。該方法首先利用樣本軟件集的4種屬性證據(jù)，對SVM分類器進(jìn)行訓(xùn)練，進(jìn)而針對待評估軟件，確定其不同屬性的BPA；最后，結(jié)合基于熵權(quán)法的自適應(yīng)權(quán)重和改進(jìn)的證據(jù)合成理論，完成對待評估應(yīng)用軟件的可信性評估。該方法在實(shí)現(xiàn)過程中，由于基于機(jī)器學(xué)習(xí)類算法來確定BPA，因此有效地規(guī)避了認(rèn)為因素的影響；同時(shí)，由于基于應(yīng)用軟件的多種屬性證據(jù)，又融入了自適應(yīng)權(quán)重調(diào)整，使得對軟件的評估更為全面。大量的實(shí)驗(yàn)數(shù)據(jù)驗(yàn)證了本文方法的有效性。下一步工作將重點(diǎn)對軟件屬性進(jìn)行更細(xì)粒度上的可信性劃分。